CVE-2026-18549
Publiée le 2026-08-15 · Dernière modification le 2026-09-02
Les serveurs utilisant les versions 5.3.0 à 10.1.0 de `@fastify/multipart` sont vulnérables à une attaque par épuisement des ressources. Un attaquant distant non authentifié peut envoyer des téléchargements de fichiers spécialement conçus puis se déconnecter abruptement, laissant derrière lui des fichiers temporaires orphelins et des gestionnaires de requêtes bloqués. En répétant ce processus, l'attaquant peut saturer l'espace disque et provoquer le plantage de la boucle d'événements (event loop), entraînant ainsi un déni de service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/multipart is a multipart form-data parser for Fastify. In versions from 5.3.0 up to but not including 10.1.1, when the busboy fileSize limit truncates a file part, the plugin clears its internal current-file reference while the underlying stream is still open. If the client then aborts the connection before sending the terminating boundary, the abort cleanup finds no stream to destroy, so saveRequestFiles() never settles, the request handler hangs, and the temporary file already written to disk is never cleaned up. An unauthenticated client can repeat this to permanently leak temporary files and suspended handler executions, leading to disk and event-loop exhaustion. The issue is fixed in @fastify/multipart 10.1.1. Users should upgrade to 10.1.1.